DE3412049A1 - SIGNAL-SAFE DATA PROCESSING DEVICE - Google Patents

Description

Licentia Patent-Verwaltungs-GmbH Theodor-Stern-Kai 1
D-6000 Frankfurt 70Licentia Patent-Verwaltungs-GmbH Theodor-Stern-Kai 1
D-6000 Frankfurt 70

Krn/schb B 84/18 KrnKrn / schb B 84/18 Krn

Siqnaltechnisch sichere Datenverarbeitungseinrichtung Technically safe data processing device

Die Erfindung bezieht sich auf eine signaltechnisch sichere Datenverarbeitungseinrichtung gemäß dem Oberbegriff des Patentanspruches 1.The invention relates to a data processing device that is safe in terms of signaling according to the preamble of claim 1.

Bei der Steuerung von technischen Prozessen werden immer mehr elektronische Einrichtungen eingesetzt, insbesondere Prozeßrechner und Mikrocomputer. Das geschieht auch auf den Gebieten der Sicherungstechnik, wie z.B. der Eisenbahnsignaltechnik, bei Verkehrsampelsteuerungen, Pipelineüberwachung, Pressensteuerungen, Kraftwerküberwachung usw. Dabei ist es besonders wichtig, daß keine Menschenleben gefährdet werden. In allen diesen Fällen ist daher das fail-safe Prinzip anzuwenden, d.h., daß auch bei Störungen oder Fehlern in den Steuerungswerken keine Signale abgegeben werden dürfen, welche für Mensch η oder Maschinen schädliche Folgen haben könnten. Trotzdem soll ein zu großer Aufwand vermieden werden, und es sollen daher weitgehend handelsübliche Bauteile verwendet werden.In the control of technical processes more and more electronic devices are used, in particular Process computers and microcomputers. This also happens in the areas of safety technology, such as railway signaling technology, for traffic light controls, pipeline monitoring, press controls, power plant monitoring etc. It is particularly important that no human life is endangered. In all of these cases The fail-safe principle must therefore be applied, i.e. also in the event of malfunctions or errors in the control systems no signals may be given which could have harmful consequences for humans or machines. In spite of this, too great an effort should be avoided, and components that are largely commercially available should therefore be used be used.

Es sind bereits mehrere Einrichtungen bekannt, die zur Gewährleistung der Sicherheit aus zwei bzw. drei redundanten Rechnern bestehen.Several devices are already known which, to ensure security, consist of two or three redundant ones Computers exist.

5 3 A 1 2049 β 84/18 Krn5 3 A 1 2049 β 84/18 Krn

In der DE-OS 26 12 100 ist eine digitale Datenverarbeitungsanordnung beschrieben, die zwei identische Rechner aufweist, welche mit einer für beide Rechner gemeinsamen Taktstromversorgung taktsynchron betrieben werden· Diese Taktstromversorgung gibt nur dann den nächsten Programmschritt für die Datenverarbeitungsanordnung frei, wenn ein Überwachungsimpuls die Kette von Vergleichern für Adressen, Daten und Steuersignalen, die von beiden Rechnern gleichzeitig zu vergleichen sind, ordnungsgerecht durchläuft. Bei einem negativen Vergleichsergebnis in einem Vergleicher dieser Kette werden die Steuertakte für beide Rechner gesperrt und die Stromversorgung für die Rechner abgeschaltet. Damit führt bereits ein Fehler, z.B. an einem dezentralen Ergänzungsbaustein zur Abschaltung der gesamten Datenverarbeitungsanlage, d.h. eine Fehlertolerierung ist nicht möglich. Damit sind auch einkanalige Prozeßausgaben, z.B. für Diagnosezwecke, gesperrt. In DE-OS 26 12 100 is a digital data processing arrangement described, which has two identical computers, which with a common for both computers Clock power supply can be operated clock-synchronously · This clock power supply only gives the next program step free for the data processing arrangement when a monitoring pulse triggers the chain of comparators for Addresses, data and control signals that are to be compared by both computers at the same time, correctly passes through. In the event of a negative comparison result in a comparator in this chain, the control clocks locked for both computers and the power supply for the computers switched off. This already leads to a mistake E.g. on a decentralized add-on module to switch off the entire data processing system, i.e. a Error tolerance is not possible. This means that single-channel process outputs, e.g. for diagnostic purposes, are also blocked.

In der Patentschrift DE 30 03 291 ist eine zweikanalige Datenverarbeitungsanordnung beschrieben, bei der in Abänderung zur DE-OS 26 12 100 jedem Mikrocomputer eine Vergleichereinrichtung und ein UND-Glied zugeordnet sind. Die Ausgabe von Signalen an den Prozeß ist nur möglich, wenn die beiden Mikrocomputer fehlerfrei arbeiten, d.h. in den zentralen Vergleichern der Vergleich der Informationen beider Mikrocimputer positiv ist.In the patent DE 30 03 291 a two-channel data processing arrangement is described in which, in modification for DE-OS 26 12 100 each microcomputer is assigned a comparator device and an AND element. The output of signals to the process is only possible if the two microcomputers are working correctly, i.e. in the central comparators the comparison of the information from both microcimps is positive.

Alle dezentralen Impulsverstärker für die einzelnen Prozeßausgaben werden gesperrt, wenn der Vergleich einer Date bei mehreren gleichzeitig zum Vergleich anstehenden Daten in der Vergleichseinrichtung eines Mikrocomputers negativ ausfällt.All decentralized pulse amplifiers for the individual process outputs are blocked if the comparison of one date is pending for comparison with several at the same time Data in the comparison device of a microcomputer turns out negative.

In der DE-OS 32 11 265 ist ein zweikanaliges Fail-safe-Mikrocomputerschaltwerk beschrieben, das in Ergänzung zur DE-OS 26 12 100 in der Lage ist, Eingabedaten der re-In DE-OS 32 11 265 is a two-channel fail-safe microcomputer switch described, which in addition to DE-OS 26 12 100 is able to input data of the re-

B 84/18 KrnB 84/18 Krn

dundanten Eingangssignalumsetzer über beide Mikrocomputer in dem zentralen Vergleicher vergleichen zu können· Hierzu werden über zusätzliche Koppelschaltungen die Eingabedaten der Eingangssignalumsetzer nacheinander von beiden Mikrocomputern gelesen. Die vorher beschriebenen Nachteile des zentralen Vergleichers und der gemeinsamen Taktstromversorgung gelten auch hierbei.to be able to compare redundant input signal converters via both microcomputers in the central comparator For this purpose, the input data of the input signal converter are successively transferred via additional coupling circuits read by both microcomputers. The previously described disadvantages of the central comparator and the common Clock power supplies also apply here.

In der DE-OS 32 25 455 ist ein redundantes Steuersystem mit zwei parallelgeschalteten Rechnereinheiten, die taktsynchron betrieben werden, beschrieben. In einem Überwachungssystem werden die Datensignale der redundanten Rechnereinheiten verglichen, der Fehler in der Rechnereinheit lokalisiert und auf den Ausgang der fehlerfreien Rechnereinheit umgeschaltet. Während dieser Zeit ist ein Vergleich der Datensignale nicht mehr möglich. Außerdem können Fehler in der Ausgabeeinheit der aktiven Rechnereinheit nicht direkt erkannt werden.In DE-OS 32 25 455 is a redundant control system with two parallel-connected computer units that are clock-synchronous are operated. In a monitoring system, the data signals are redundant Computing units compared, the error localized in the computing unit and the output of the error-free Computer unit switched. During this time it is no longer possible to compare the data signals. aside from that errors in the output unit of the active computer unit cannot be recognized directly.

In der DE-OS 29 31 280 ist eine redundante Steueranordnung mit zwei asynchron arbeitenden Rechnern beschrieben, deren Ausgabedaten in Koinzidenzgliedern verglichen werden und bei Ungleichheit ein Fehlersignal abgeben. Über Rückmeldesignale der Koinzidenzglieder werden die Steueranordnungen synchronisiert.In DE-OS 29 31 280 a redundant control arrangement with two asynchronously operating computers is described, whose Output data are compared in coincidence elements and emit an error signal in the event of inequality. Via feedback signals of the coincidence elements, the control arrangements are synchronized.

In "Elektrisches Nachrichtenwesen" Band 52 (19 77) Nr. 4, Seiten 322 bis 326 ist ein zweikanaliges Rechnersystem mit Synchronisation durch eine zentrale Interruptsteuerung beschrieben.In "Electrical Communications" Volume 52 (19 77) No. 4, Pages 322 to 326 is a two-channel computer system with synchronization through a central interrupt control described.

Es ist ferner ein Aufsatz über ein "Sicheres Mikrorechnersystem LOGISIRE", Verfasser H. Brauer aus der Zeitschrift "Signal und Draht" 76 (1984) Heft 3, Seiten 35 bis 41 bekannt. Hier ist auf Seite 37, Abschnitt 3.1 angegeben, daß bei Ausfall eines sogenannten Polling-Perioden-Signals oder zeitlichem Versatz dieser «Signale beider Rechnerkanäle die Versorgungsspannung für alle sicheren Ausgaben sicher ausgeschaltet wird.There is also an essay about a "Secure microcomputer system LOGISIRE", author H. Brauer from the magazine "Signal und Draht" 76 (1984) No. 3, pages 35 to 41 known. Here on page 37, section 3.1 it is stated that in the event of failure of a so-called polling period signal or a time offset between these «signals from both computer channels the supply voltage for all safe outputs is safely switched off.

7 34 !2049 β 84/18 Krn7 34! 2049 β 84/18 krn

Der Erfindung liegt die Aufgabe zugrunde, gesicherte Daten signaltechnisch sicher zu verarbeiten, wobei fehlerhafte Teilfunktionen isoliert werden, ohne daß intakte Teilfunktionen hiervon beeinträchtigt werden, so daß auch nach Ausfällen noch ein gegebenenfalls eingeschränkter Betrieb durchgeführt werden kann. Kann eine korrekte Verarbeitung nicht mehr gewährleistet werden, sollen die Ausgänge der Einrichtung stromlos geschaltet werden.The invention is based on the object of processing secured data in a signal-technically secure manner, with erroneous Sub-functions are isolated without intact sub-functions are impaired by this, so that too after failures, a possibly restricted operation can still be carried out. Can correct processing can no longer be guaranteed if the outputs of the device are to be de-energized.

Die Aufgabe wird nach der Erfindung durch die in dem Patentanspruch 1 angegebenen Merkmalen gelöst.The object is achieved according to the invention by in the claim 1 specified features solved.

Die erfindungsgemäße Datenverarbeitungseinrichtung besteht aus zwei voneinander unabhängigen Rechnerkanälen, deren übereinstimmende Programme blocksynchron ablaufen. Ergänzt sind die Rechnerkanäle durch Ausgabevergleicher und eine oder mehrere zweikanalig,dynamisiert gesteuerte signaltechnisch sichere Spannungsversorgungen, die jeweils eine Gruppe von Ausgabevergleicherη versorgen, von denen jeder die ihm angebotenen Signale nur dann passieren lassen, wenn diese übereinstimmen.The data processing device according to the invention consists from two independent computer channels, whose matching programs run block-synchronously. Added are the computer channels through output comparators and one or more two-channel, dynamically controlled signal technology safe power supplies, each supplying a group of output comparators, each of which only let the signals offered to it pass if they match.

Zur blocksynchronen Arbeitsweise kommunizieren die Rechnerkanäle zu bestimmten Zeitpunkten und Ereignissen miteinander über die Rechnerkanalkopplung mit angeschlossenem Datenvergleich in jedem Rechnerkanal.For block-synchronous operation, the computer channels communicate with each other at certain times and events via the computer channel coupling with connected data comparison in each computer channel.

Die Kommunikation erfolgt mindestens - nach Übernahme eines Eingabewertes oder mehrerer Eingabewerte Communication takes place at least - after accepting an input value or several input values

- zur Prüfung auf Fehlerfreiheit des Eingehens, wobei nach Feststellung eines ausfallbedingten Fehlers weitere Werte der betroffenen Eingabeeinheit und der entsprechenden des anderen Rechnerkanals ignoriert werden;- to check that the incoming goods are free of errors, with further errors after a failure-related error has been identified Values of the affected input unit and the corresponding one of the other computer channel are ignored will;

- zur Gewährleistung der Verarbeitung gleicher Werte trotz unterschiedlicher Eingangsdaten der Rechner, indem bei unterschiedlichen Werten die zuletzt in beiden Rechnerkanälen übereinstimmenden Werte verar-- to guarantee the processing of the same values in spite of different input data from the computer, in that the last in both computer channels process values that match

8 34 12 C 4''.J B 84/18 Krη8 34 12 C 4 ". J B 84/18 Krη

beitet werden,
- vor Ausgaben eines neuen Wertesto be worked
- before issuing a new value

- zur Prüfung auf Fehlerfreiheit der Verarbeitung, wobei nach Feststellung eines Fehlers die Spannungs-Versorgungen der Ausgabevergleicher von mindestens einem Rechnerkanal sicher abgeschaltet werden, indem die Ausgabe des als fehlerfrei angenommenen dynamisierten Steuersignals für die sichere Spannungsversorgung bewußt unterlassen wirdj - vor jedem programmgesteuerten Setzen einer Interruptsperre bzw. im regulären Betrieb nach jeder Unterbrechung eines laufenden Programmes durch ein anderes- To check that the processing is free of errors, with the voltage supplies after detection of an error the output comparator of at least one computer channel can be safely switched off by the output of the dynamized control signal assumed to be error-free for the safe power supply is deliberately omitted j - before each program-controlled setting of an interrupt lock or in regular operation after each interruption of a running program by another

- zur Gewährleistung des logisch gleichartigen Ablaufs der parallelredundant arbeitenden Rechnerkanäle, wobei nach einer Kommunikation aus unterschiedlichen Anlassen in den Rechnerkanälen durch eine geeignete Prioritätsregelung beide Rechnerkanäle an einander entsprechenden Punkten weiterarbeiten.- to ensure the logically similar sequence of the parallel redundant computer channels, after a communication for different reasons in the computer channels by a suitable priority control both computer channels continue to work at corresponding points.

Die Kommunikation geschieht über eine zweikanalige Rechnerkanalkopplung pro Rechnerkanal, bei der jeder Kanal der Rechnerkanalkopplung einer Übertragungsrichtung zugeordnet ist und aus mehrbitbreiten FIFO-Speichern besteht, die von dem zugehörigen Rechnerkanal entweder nur beschrieben oder nur gelesen werden können. Die Rechnerkanalkopplungen sind so miteinander verbunden, daß die von einem Rechnerkanal geschriebenen Daten nach automatischer Übertragung in die Rechnerkanalkopplung des anderen Rechnerkanals nur von diesem dort gelesen werden können.Communication takes place via a two-channel computer channel coupling per computer channel, in which each channel of the computer channel coupling has a transmission direction is assigned and from multi-bit wide FIFO memories exists that can either only be written to or only read from the associated computer channel. The computer channel couplings are interconnected in such a way that the data written by a computer channel is automatically Transmission to the computer channel coupling of the other computer channel can only be read by this one there.

Die Rechnerkanalkopplung wird in vorteilhafter Weise ergänzt durch einen programmgesteuerten Datenvergleich in jedem Rechnerkanal, der bei Vergleich die Daten des anderen Rechnerkanals zerstört, so daß die Daten der Rechnerkanäle physikalisch voneinander getrennt gehalten werden.The computer channel coupling is supplemented in an advantageous manner by a program-controlled data comparison in each computer channel, which compares the data of the other Computer channel destroyed, so that the data of the computer channels are kept physically separate from one another.

Bei jeder Kommunikation wird - wenn notwendig - ein Organisationskennzeichen übertragen, aus dem ersichtlich ist,With every communication - if necessary - an organizational identifier is added transferred, from which it can be seen

β 84/18 Kr ηβ 84/18 Kr η

aus welchem Anlaß kommuniziert wird. Bei unterschiedlichen Anlassen, erkennbar an den unterschiedlichen Organisationskennzeichen, wird durch eine Prioritätsregelung dafür gesorgt, daß noch der Kommunikation beide Rechnerkanäle an einander entsprechenden Programmpunkten weiterarbeiten. Bei einem Kommunikationsversuch von nur einem Rechnerkanal, bei dem der andere Rechnerkanal nicht innerhalb einer bestimmten Zeitdauer seine Bereitschaft zur Kommunikation gezeigt hat, werden die Spannungsversorgungen der Ausgabevergleicher von dem Rechnerkanal sicher abgeschaltet, dessen Kommunikationsversuch gescheitert war. So ist es möglich, zeitliche Abweichungen im Programmlauf der Rechnerkanäle zu erkennen, innerhalb vorgegebener Grenzen zu tolerieren und auszugleichen bzw. bei nicht tolerierbaren zeitlichen Abweichungen die Spannungsversorgungen der Ausgabevergleicher abzuschalten.on what occasion it is communicated. On different occasions, recognizable by the different organizational codes, a priority control ensures that both computer channels can still communicate continue working on corresponding program items. If only one person tries to communicate Computer channel in which the other computer channel is not ready for use within a certain period of time Communication has shown, the voltage supplies of the output comparators from the computer channel are safe switched off whose communication attempt had failed. In this way it is possible to detect time deviations in the program run to recognize the computer channels, to tolerate and compensate for them within specified limits or In the event of intolerable time deviations, switch off the power supplies for the output comparators.

Diese Art der Rechnerkanalkopplung und Kommunikation der Rechnerkanäle ist nicht auf zweikanalige Systeme beschränkt, sondern kann auf mehrkantige Systeme, insbesondere adaptive zwei-aus-drei-Systeme übertragen werden.This type of computer channel coupling and communication between the computer channels is not limited to two-channel systems, but can be transferred to multi-edged systems, in particular adaptive two-out-of-three systems.

Die Einrichtung gemäß der Erfindung wird im folgend beschriebenen Ausführungsbeispiel an Hand der Zeichnung näher erläutert. In dem dargestellten Ausführungsbeispiel besteht die Einrichtung nach der Erfindung aus zwei Kanälen, jedoch können aus Verfügbarkeitsgründen auch drei Kanäle vorgesehen werden. Ebenso ist es möglich, eine solche Einrichtung mit einer weiteren oder mehreren zu einem Multiprocessingsystera zu verbinden.The device according to the invention is described below Embodiment explained in more detail with reference to the drawing. In the illustrated embodiment the device according to the invention consists of two channels, but three can also be used for reasons of availability Channels are provided. It is also possible to add one or more facilities to such a facility to connect a multiprocessing system.

In der Fig. 1 sind mit A und B zwei Rechnerkanäle durch gestrichelte Umrandung bezeichnet, die in ihrer Struktur vollkommen gleich aufgebaut sind. Der Rechnerkanal A hat folgende Struktur:In Fig. 1, A and B denote two computer channels by dashed borders, which in their structure are constructed in exactly the same way. Computer channel A has the following structure:

an einem Bus 15 liegen die Zentraleinheit 11 mit Arbeitsund Programmspeicher und eine Rechnerkanalkopplung 13.The central unit 11 with work and program memory and a computer channel coupling 13 are located on a bus 15.

Die Arbeits- und Programmspeicher lassen sich im Bedarfsfall durch zusätzliche Baugruppen erweitern.If necessary, the work and program memories can be expanded with additional modules.

Die Zentraleinheit 11 steuert über den Ein- und Ausgabebus 16 die Eingabeeinheiten 18a, 18b, 19,.die Ausgabeeinheiten 17, 12. Die Ein- und Ausgabeeinheiten unterscheiden sich bezüglich bitparalleler oder bitserieller Ein- oder Ausgabe. Im zweiten Rechnerkanal B sind die Zentraleinheit (mit Arbeits- und Programmspeicher) mit 21, der interne Bus mit 25, die Rechnerkanalkopplung mit 23, der Ein-Ausgabe-Bus mit 26, die Eingabeeinheiten mit 28a, 28b, 29, die Ausgabeeinheit mit 27 und 22 bezeichnet.The central unit 11 controls the input units 18a, 18b, 19, .the output units via the input and output bus 16 17, 12. The input and output units differ in terms of bit-parallel or bit-serial Input or output. In the second computer channel B, the central unit (with working and program memory) are 21, the internal bus with 25, the computer channel coupling with 23, the input-output bus with 26, the input units with 28a, 28b, 29, denoting the output unit with 27 and 22.

Für gesicherte Eingabe- und Ausgabewerte sind die Ein- und Ausgabeeinheiten in beiden Rechnerkanälen identisch vorhanden. Hierdurch lassen sich Einfachfehler und Leitungsunterbrechungen erkennen. Diese können somit nicht zu einem falschen Ergebnis führen.For saved input and output values, the input and output units are identical in both computer channels available. This eliminates simple errors and line interruptions recognize. This cannot lead to a wrong result.

In Fig. 1 sind zwei Eingabetypen dargestellt: Bei dem einen Eingabetyp wird von einem durch Verdoppelung der Nutzinformation gesichertem, parallel anstehenden Eingabewert je eine vollständige Nutzinformation von den Rechnerkanälen A und B mit den Eingabeeinheiten 19 bzw. 29 eingelesen. Bei einem zweikanaligen System können die beiden Nutzinformationen zueinander äquivalent oder antivalent sein.Two input types are shown in FIG of the useful information secured, parallel input value each a complete useful information of the computer channels A and B with the input units 19 and 29, respectively. With a two-channel system, the two pieces of information are equivalent or complementary to one another.

Unterschiede, die beim Einlesen der Eingabewerte auftreten, werden mittels Datenvergleich in beiden Rechnerkanälen erkannt. Hierzu werden die zu vergleichenden Daten über die Rechnerkanalkopplungen ausgetauscht. Beim anschließenden Datenvergleich werden die Daten des korrespondierenden Rechnerkanals vernichtet.
35Differences that occur when reading in the input values are recognized by means of data comparison in both computer channels. For this purpose, the data to be compared are exchanged via the computer channel couplings. During the subsequent data comparison, the data of the corresponding computer channel is destroyed.
35

Wegen der Indentität der Vergleichsergebnisse erkennen beide Rechnerkanäle in gleicher Weise, ob die verglichenen Daten übereinstimmten. In beiden Rechnerkanälen wer-Because of the identity of the comparison results, both computer channels recognize in the same way whether the compared Data matched. In both computer channels

11 3 A 1 2 O A 9 B 84/18 Krn11 3 A 1 2 O A 9 B 84/18 Krn

den nach dem Vergleich die zuletzt in beiden Rechnerkanälen übereinstimmenden Werte von den übereinstimmenden Programmen verarbeitet.the values that matched last in both computer channels after the comparison from the matching ones Programs processed.

Bei dem anderen Eingabetyp wird von einem aus Nutz- und Sicherungsinformation bestehenden, parallel anstehenden Eingabewert sowohl die Nutzinformation als auch die Sicherheitsinformation den Eingabeeinheiten 18a und 18b des Rechnerkanals A und den Eingabeeinheiten 28a und 28b des Rechnerkanals B zugeführt. In vorteilhafter Weise kann durch eine schon bekannte Eingabesteuerung erreicht werden, daß zum Zeitpunkt des Einlesens der Daten, diese fixiert sind und damit einander entsprechende Eingabeeinheiten übereinstimmende Werte erfassen. In jedem Rechnerkanal wird geprüft, ob die aus der Nutzinformation ableitbare Sicherungsinformation mit der eingelesenen Sicherungsinformation übereinstimmt.In the case of the other input type, a system consisting of useful and security information is pending in parallel Input value both the useful information and the security information to the input units 18a and 18b of the Computer channel A and the input units 28a and 28b of computer channel B are supplied. Can advantageously can be achieved by an already known input control that at the time of reading in the data, this are fixed and thus record corresponding input units matching values. In every computer channel it is checked whether the security information that can be derived from the user information matches the security information that has been read in matches.

Die Ausgabe an den Prozeß erfolgt über getrennte Ausgabeeinheiten pro Rechnerkanal. In der Fig. 1 ist eine Ausgabe dargestellt, bei der die Daten der beiden Ausgabeeinheiten 17,27 in einem Ausgabe-Vergleicher 2 fail-safe verglichen werden. Nur bei zeitlicher und inhaltlicher Übereinstimmung der Daten werden diese an den Prozeß ausgegeben. Anderenfalls sperrt der Ausgabe-Vergleicher 2 die Ausgabe. Die Sperrung erfolgt auch bei einem Fehler im Vergleicher. Die Sperrung kann nur gezielt rückgängig gemacht werden. Die Ausgabevergleicher werden durch die zweikanalig, dynamisiert angesteuerte signaltechnisch sichere Spannungsversorgung mit Spannung versorgt. Bei sicherer Abschaltung der Spannungsversorgung wird die Ausgabe gesperrt.The output to the process takes place via separate output units for each computer channel. In Fig. 1 is an output in which the data of the two output units 17.27 are compared in an output comparator 2 fail-safe will. These are only output to the process if the data match in terms of time and content. Otherwise the output comparator 2 blocks the output. The lock also takes place in the event of an error in the Comparator. The blocking can only be reversed in a targeted manner. The output comparators are controlled by the two-channel, dynamically controlled, signal-technically safe voltage supply supplied with voltage. at safe shutdown of the power supply, the output is blocked.

Die Verarbeitung in den Rechnerkanälen erfolgt zyklisch. Hierzu wird von jedem Rechnerkanal ein Zeitinterrupt gebildet. In der Zeit zwischen zwei Zeitinterrupten werden die Prozeßeingaben eingelesen, findet die Programmverar-Processing in the computer channels takes place cyclically. For this purpose, a time interrupt is generated by each computer channel. In the time between two time interruptions, the process inputs are read in, the program processing takes place

12 B 84/18 Krn12 B 84/18 Krn

beitung statt und werden die Ausgaben an den Prozeß durchgeführt. In den Rechnerkanälen werden hierbei periodisch Steuersignale Ll,L2 gebildet, die mit jedem Zeitinterrupt zwischen "H" und "L" wechseln.und der Sicheren SpannungsversorgungVuber die Ausgabeeinheiten 12,22 zugeführt. In der Sicheren Spannungsversorgung 1 werden diese Steuersignale fail-safe auf Polarität und Gleichzeitigkeit überwacht. Die Zeiten sind sowohl in den Rechnerkanälen aus auch auf der Sicheren Spannungsversorgung 1 einstellbar· Stimmen die Zeiten nicht überein, so wird die Versorgungsspannung für die Ausgabevergleicher 2 sicher abgeschaltet.processing takes place and the outputs are carried out to the process. Periodic in the computer channels Control signals Ll, L2 formed, which alternate between "H" and "L" with each time interrupt the output units 12,22 supplied. These control signals are in the safe power supply 1 fail-safe monitored for polarity and simultaneity. The times are off both in the computer channels Can also be set on safe power supply 1 · If the times do not match, the supply voltage for output comparator 2 is safe switched off.

Der Start der Datenverarbeitungseinrichtung wird automatisch mit Einschalten der Spannungsversorgung für die Rechnerkanäle und für die Sichere Spannungsversorgung 1 vorgenommen. Im Rahmen einer Initialisierung wird die einwandfreie Funktion der Datenverarbeitungseinrichtung festgestellt. Danach wird von beiden Rechnerkanälen gleichzeitig ein Startsignal STl, ST2 ausgegeben, das in der Sicheren Spannungsversorgung 1 fail-safe geprüft wird. Damit wird die Versorgungsspanriung für die Ausgabevergleicher freigegeben.The start of the data processing device is automatic when the power supply for the computer channels is switched on and for the safe power supply 1. As part of an initialization, the correct Function of the data processing device determined. After that, both computer channels will simultaneously a start signal ST1, ST2 is output, which is checked in the safe power supply 1 fail-safe. So that will the supply margin for the output comparator released.

Im Fehlerfall und bei bewußter Unterdrückung des Steuersignals 5 durch mindestens einen der Rechnerkanäle wird die Versorgungsspannung der Ausgabevergleicher abgeschaltet. Eine Wiedereinschaltung ist nur bei Fehlerfreiheit der Sicheren Spannungsversorgung durch fehlerfreien automatischen Einschaltvorgang möglich.
30In the event of an error and when the control signal 5 is deliberately suppressed by at least one of the computer channels, the supply voltage of the output comparators is switched off. Reconnection is only possible if the safe power supply is free from errors by means of an error-free automatic switch-on process.
30th

Die Fig. 2 zeigt eine Ausgabe mit einem redundant aufgebauten Ausgabevergleicher,der in Figur 1 mit 2 bezeichnet ist. Dieser umfaßt je Rechnerkanal zwei elektronische Leistungsschalter 2a, 2b, 2c, 2d, die über die Ausgabeeinheiten 17a,17b, 27a,27b gleichartig angesteuert werden, so daß im ausfallfreien Fall alle vier Schalter die gleiche Stellung haben. Um die Schaltstellung von den RechnerkanälenFIG. 2 shows an output with a redundantly constructed output comparator, denoted by 2 in FIG is. This includes two electronic circuit breakers 2a, 2b, 2c, 2d per computer channel, which are connected to the output units 17a, 17b, 27a, 27b are controlled in the same way, so that in the failure-free case, all four switches have the same position to have. To the switch position of the computer channels

13 3 A 1 2 O 4 9 β 84/18 Krn13 3 A 1 2 O 4 9 β 84/18 Krn

erfassen zu können, gibt es zu jedem Schalter eine Rückmeldung 17c,17d, 27c,27d in den zugehörigen Rechnerkanal. Die Leistungsschalter können wie in Fig. 2 so verschaltet werden, daß zwei Schalter, die nicht von demselben Rechnerkanal angesteuert werden, zueinander parallel liegen und beide in Serie zu den beiden anderen in Serie liegenden Schaltern. Wie leicht erkennbar, läßt sich durch Modifikation der Verschaltung auch ein rein zweikanalig Aufgebauter Ausgabevergleicher als auch ein einkanalig aufgebauter Ausgabevergleicher (Serienschaltung der vier Leistungsschalter) hieraus ableiten.To be able to detect, there is a feedback 17c, 17d, 27c, 27d for each switch in the associated computer channel. The circuit breakers can be connected as in Fig. 2 so that two switches that are not of the same Computer channel are controlled, are parallel to each other and both are in series with the other two in series lying switches. As can easily be seen, a purely two-channel connection can also be achieved by modifying the interconnection Built-up output comparator as well as a single-channel built-up one Derive the output comparator (series connection of the four circuit breakers) from this.

Durch zyklische Überprüfung der einzelnen Elemente des Ausgabe-Vergleichers 2 lassen sich Ausfälle rechtzeitig offenbaren. Hierbei werden die Ergebnisse der Prüfung von beiden Rechnerkanälen verglichen. Einzelne Fehler in den Ein- oder Ausgabeeinheiten oder in den Ausgabeschaltern lassen sich tolerieren, ohne die Sicherheit zu beeinflussen. Kann bei Eintreten eines weiteren Ausfalls die Sicherheit nicht mehr gewährleistet werden, so wird die Versorgungsspannung der Ausgabevergleicher sicher abgeschaltet, indem die Ausgabe des als fehlerfrei angenommenen dynamisierten Steuersignals für die Sichere Spannungsversorgung 1 von mindestens einem Rechnerkanal unterlassen wird.By cyclically checking the individual elements of the output comparator 2, failures can be avoided in good time reveal. Here, the results of the test from both computer channels are compared. Single mistakes in the input or output units or in the output switches can be tolerated without security influence. If, in the event of a further failure, safety can no longer be guaranteed, then the supply voltage of the output comparator is safely switched off, by outputting the dynamized control signal assumed to be error-free for the safe power supply 1 is neglected by at least one computer channel.

Claims (4)

ι
Licentia Patent-Verwaltungs-GmbHι
Licentia Patent-Verwaltungs-GmbH Theodor-Stern-Kai 1
D-6000 Frankfurt 70Theodor-Stern-Kai 1
D-6000 Frankfurt 70 Krn/schb B 84/18 KrnKrn / schb B 84/18 Krn Slqnaltechnisch sichere Datenverarbeitunqseinrichtunq Technically secure data processing equipment PatentansprücheClaims \lj Signaltechnisch sichere Datenverarbeitungseinrichtung mit mindestens zwei Kanälen, die jeweils einen Rechner enthalten, welche Eingangsdaten nach übereinstimmenden Programmen blocksynchron verarbeiten, wobei die Ausgangssignale der Kanäle, die die Ausgangssignale der Datenverarbeitungseinrichtung erzeugen sollen, Ausgabevergleichern zugeführt werden, die diese Signale nur bei Übereinstimmung passieren lassen und sonst ein ungefährliches Standardsignal abgeben, \ lj Signal-technically secure data processing device with at least two channels, each containing a computer, which process input data block-synchronously according to matching programs, with the output signals of the channels that are to generate the output signals of the data processing device being fed to output comparators, which only allow these signals to pass if they match and otherwise emit a harmless standard signal, gekennzeichnet durch folgende Merkmale: - die Rechnerkanäle (A,B), jeweils bestehend aus einer Zentraleinheit (11 bzw. 21) mit Programm- und Arbeitsspeicher, Ein- und Ausgabeeinheiten (18a,18b,19,12,17 bzw. 28a,28b,29,22,27) mit zugehörigem E/A-Bus (16 bzw. 26) sowie einer zweikanaligen Rechnerkanalkopplung (1\ bzw.2yi), die entweder über den E/A-Bus (16 bzw.26) oder den internen Bus (IU bzw. 2%) betrieben wird, kommunizieren zu definierten Zeitpunkten oder Ereignissen über die zweikanalige Rechnerkanalkopplung mit angeschlossenem programmgesteuerten Datenvergleich in jedem Rechnerkanal miteinander zur characterized by the following features: - the computer channels (A, B), each consisting of a central unit (11 or 21) with program and working memory, input and output units (18a, 18b, 19, 12, 17 or 28a, 28b , 29,22,27) with the associated I / O bus (16 or 26) as well as a two-channel computer channel coupling (1 \ or 2yi), which can be accessed either via the I / O bus (16 or 26) or the internal Bus (IU or 2%) are operated, communicate with each other at defined times or events via the two-channel computer channel coupling with connected program-controlled data comparison in each computer channel - Prüfung auf fehlerfreie Dateneingabe und Verarbeitung, wobei nach Feststellung eines ausfallbedingten Fehlers die betroffene Einrichtung isoliert bzw. die Spannungsversorgung de Ausgabevergleicher (2) sicher abgeschaltet wird,- Check for error-free data entry and processing, after detecting a failure-related error the affected device is isolated or the voltage supply of the output comparator (2) is switched off safely, - Gewährleistung gleichartiger Verarbeitung trotz unterschiedlicher Eingangsdaten der Rechner,- Guarantee of similar processing despite different input data from the computers, - Gewährleistung der blocksynchronen Arbeitsweise bei Beginn eines jeden logisch neuen Verarbeitungs-Schrittes - Guarantee of the block-synchronous mode of operation at the beginning of each logically new processing step und arbeiten trotz Kommunikation unabhängig voneinander, and work independently of each other despite communication, - eine oder mehrere zweikanalig, dynamisiert gesteuerte signaltechnisch sichere Spannungsversorgungen (1) versorgen jeweils einen oder eine Gruppe von Ausgabevergleichern (2), von denen jeder ein bestimmtes Ausfallverhalten besitzt und entweder selbst oder innerhalb der zugehörigen Gruppe in Verbindung mit ihrer Spannungsversorgung signaltechnisch sicher ist.- one or more two-channel, dynamically controlled, signal-technically safe power supplies (1) each supply one or a group of output comparators (2), each of which has a specific one Failure behavior possesses and either itself or within the associated group in connection is signal-technically safe with its power supply. 2. Datenverarbeitungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß von einem durch Vervielfachung der Nutzinformation gesicherten parallel anstehenden Eingabewert jeweils eine vollständige Nutzinformation auf je eine Eingabeeinheit (19 bzw. 29) eines jeden Rechnerkanals geführt wird und daß bei anders gesicherten parallel anstehenden Eingabewerten sowohl die Nutzinformation als auch die Sicherungsinformation auf je eine Eingabeeinheit (18a,18b bzw. 28a,28b) eines jeden Rechnerkanals geführt ist.2. Data processing device according to claim 1, characterized in that from a secured parallel input value by multiplying the useful information each complete useful information is passed to an input unit (19 or 29) of each computer channel and that with otherwise secured parallel input values both the Useful information as well as the security information is routed to an input unit (18a, 18b or 28a, 28b) of each computer channel. 3. Datenverarbeitungseinrichtung nach Anspruch 2, dadurch gekennzeichnet, daß Eingabewerte, die beiden Rechnerkanälen zugeführt werden, durch eine an sich bekannte Eingabesteuereinrichtung für die Zeit des Einlesens fixiert werden.3. Data processing device according to claim 2, characterized in that input values which are fed to both computer channels are fixed by an input control device known per se for the time of reading. 3 B 84/18 Krn3 B 84/18 Krn 4. Datenverarbeitungseinrichtung nach Anspruch 1, dadurch gekennzeichnet, daß Ausgabevergleicher (2) für parallele Ausgaben redundant aufgebaut sind, so daß sie dadurch ein bestimmtes Ausfallverhalten zeigen und bei Kurzschluß von Schaltern im Ausgabevergleicher Ausfall von Ausgabeeinheiten oder deren Rückmeldeeingaben solange aktiv bleiben können, bis die Sicherheit bei Hinzutreten eines weiteren Ausfalls nicht mehr gewährleistet werden kann und deren Spannungsversorgung vor diesem Ausfall sicher abgeschaltet wird.4. Data processing device according to claim 1, characterized in that output comparators (2) are built redundantly for parallel outputs, so that they thereby show a certain failure behavior and in the event of a short circuit of switches in the output comparator failure of output units or their feedback inputs can remain active until the Safety in the event of a further failure can no longer be guaranteed and their power supply is safely switched off before this failure.